Техническая информация
Вредоносные функции
Запускает на исполнение
- '%WINDIR%\syswow64\taskkill.exe' /F /IM winword.exe
- '%WINDIR%\syswow64\taskkill.exe' /F /IM cmstp.exe
Запускает на исполнение (эксплоит)
- '%WINDIR%\syswow64\cmd.exe' /c CmD < "%tmP%\aaaaaaaaaa.txt" & exit c
Изменения в файловой системе
Создает следующие файлы
- %TEMP%\aaaaaaaaaa.txt
- %TEMP%\zjgzktlnuo.txt
- %TEMP%\aqrdyxjgueemflx.sct
- %APPDATA%\microsoft\network\connections\cm\ .cmp
Удаляет следующие файлы
- %TEMP%\aqrdyxjgueemflx.sct
Сетевая активность
Подключается к
- '62.##8.34.89':80
Другое
Ищет следующие окна
- ClassName: '' WindowName: ''
Создает и запускает на исполнение
- '%WINDIR%\syswow64\cmd.exe' /c CmD < "%tmP%\aaaaaaaaaa.txt" & exit c' (со скрытым окном)
Запускает на исполнение
- '%CommonProgramFiles%\microsoft shared\equation\eqnedt32.exe' -Embedding
- '%WINDIR%\syswow64\cmd.exe'
- '<SYSTEM32>\cmstp.exe' /s /ns "%TEMP%\zjGZKTLnuO.txt"
